הקוואנטום קרוב מאי פעם והוא כבר מאיים על שיטות ההצפנה הקיימות

שוו בנפשכם מצב שבן כל הסיסמאות שלכם – לג'ימייל, לבנק, לאמזון וכד' – פרוצות. זהו מצב של כאוס מוחלט באינטרנט אבל כנראה שבשנים הקרובות זה יהיה מנת חלקם של רבים.

דבר זה יתאפשר בזכות פיתוחו של מחשב העל – קוואנטום (Quantum).

מחשב הקוואנטום הוא מחשב עוצמתי במיוחד שמבוסס על תורת הקוונטים ושיחידת המידע הקטנה ביותר שלו נקראת qbit במקום bit (0 או1). המחשב הקוונטי מסוגל לפתור שלל בעיות, חישובים והצפנות ביעילות גבוהה משמעותית ממחשב רגיל.

לכן, כיום מתקיים מרדף להשיג את אותה עליונות קוונטית. מצד אחד עומדים גופי ממשל, אקדמיה וחברות ענק כדוגמת אינטל, מיקרוסופט, גוגל ו-יבמ, ומנגד, גופי האבטחה נמצאים במרוץ נגד הזמן לפתח שיטות הצפנה ואלגוריתמים שיוכלו לעמוד גם בפני התקפות סייבר של כוחות זדוניים שיהיו מצויידים במחשבים קוונטים.

במצב היום, השאלה היא כבר לא "האם", אלא רק שאלה של "מתי" ייווצר המחשב הקוונטי שיהיה מסוגל לפרוץ את שיטות ההצפנה המקובלות בהם משתמשים היום לתקשורת באינטרנט, הצפנות מידע, חתימות דיגיטליות, תחום ה-IOT ויישומים נוספים המבוססים על תשתית המפתח הציבורי – PKI. אם מידע מוצפן בשיטות הקיימות (PKI) נגנב, הוא עלול להיפרץ באמצעות מחשב קוונטי. חישובים שפעם היו אורכים שנים, עכשיו יתבצעו בשניות.

"כדי לעזור לאבטח יישומים ונתונים, מובילי אבטחה וניהול סיכונים בארגון צריכים להתחיל את ההיערכות להצפנה הקוונטית כבר היום על ידי יצירת מרכז מצוינות בתחום הקריפטו לצורך תיאום מדיניות קריפטוגרפית בארגון ולצורך שמירת נתונים יקרי ערך"

בשנת 2015, הסוכנות לביטחון לאומי (NSA) פרסמה הצהרה שבה הכריזה כי יש להתכונן לקראת מעבר לאלגוריתם קוונטי. המניע הוא "הגעתם הממשמשת ובאה של מחשבים קוונטיים בקנה מידה גדול". בנוסף, חוק היוזמה הקוונטית שהתקבל בארה"ב (NQIA) נועד להבטיח שארה"ב ובעלות בריתה יהיו הראשונות להשיג מחשב קוואנטום. ברור לכל שמדינות אחרות כמו ישראל, סין, יפן ואולי גם איראן, משקיעות הרבה על מנת לקבל יתרון של מובילות בייצור מחשבים קוונטיים שימושיים. הם השקיעו גם בטכנולוגיות קוונטיות אחרות למסחר התקפי, הגנתי ולאומי. תוכניות למיגרציה לאלגוריתמים בטוחים בפני התקפות מחשבים קוונטים (Quantum-safe algorithms) כבר בביצוע על ידי חברות האבטחה.

לכן, כדי לעזור לאבטח יישומים ונתונים, מובילי אבטחה וניהול סיכונים בארגון צריכים:

1. להתכונן לשינויים באלגוריתמים קריפטוגרפיים על ידי בניית מלאי של MetaData עבור יישומים המשתמשים בקריפטוגרפיה. זה יעניק לארגון אפשרות להתכונן להשפעתה של קריפטוגרפיה חדשה, לקבוע את הסיכון ליישומים ספציפיים, ולתעדף תוכניות תגובה לאירועים בהתאם לכך.
2. להתחיל את ההיערכות להצפנה הקוונטית כבר היום על ידי יצירת מרכז מצוינות בתחום הקריפטו לצורך תיאום מדיניות קריפטוגרפית בארגון, לצורך שמירת נתונים יקרי ערך, לצורך בירור איך נעשה שימוש באלגוריתמים כיום ובמטרה גם לספק מומחיות לצוותים העוסקים בהצפנות בארגון.

תקן האבטחה האחרון שנוגע לקוואנטום פורסם בספטמבר 2022 על ידי הסוכנות לביטחון לאומי ואשר נקרא CNSA2.0, קובע אלגוריתמים חדשים לעידן הקוואנטום:

להצפנה א-סימטרית – אלגוריתם Crystals (דיליטיום וקייבר)

להצפנה סימטרית –AES ו-SHA (כמו היום)

עדכוני תוכנה ותווכה (Firmware) –XMSS ו-LMS

NSA קבעה שיצרניות תוכנה חייבות לעבור מיד לאלגוריתמים הללו. ה-NSA יעדיפו להשתמש בהם החל משנת 2025 ואחרי שנת 2020 לא יהיה אפשר להשתמש באלגוריתמים ישנים.

יצרני דפדפנים ושרתים – תהיה העדפה החל מ-2025 ואיסור להמשיך עם אלגוריתמים ישנים החל מ-2033.

ציודי תקשורת מחשבים – העדפה החל מ-2026 ואיסור שימוש באלגוריתמים ישנים החל מ-2030.

מערכות הפעלה – העדפה החל מ-2027 ואיסור שימוש באלגוריתמים ישנים החל מ-2033.

שחקני נישה כגון יצרני PKI וגורמים מאשרים – העדפה החל מ-2030 ואיסור שימוש באלגוריתמים ישנים החל מ-2033.

אפליקציות מושפעות חייבות "להתיישר" לאלגוריתמים החדשים החל מ-2033.

הכותב הוא מנכ"ל ומייסד קומדע.